No necesariamente tendrás que generar el código XHTML en servidor y enviarlo a cliente para mostrarlo tal cual. Creo que lo más útil en este caso es que tu servidor genere objetos JS en formato JSON (
http://es.wikipedia.org/wiki/JSON) y los envie a cliente para ser utilizados.
Puedes estructurar tu aplicación con MVC sin problemas, pero deberás realizar una implementación del patrón de forma tal que todo lo que tenga que ver con privilegios de usuarios y otras cuestiones de seguridad se resuelva siempre en clases de tu servidor.
Todo lo que tenga que ver con decisiones de lo que se muestra y lo que no dependiendo de tales o cuales condiciones debería formar parte de tu controlador. Personalmente implementaría un controlador que incluya las vistas según corresponda, y estas vistas retornarían al cliente objetos JSON que implementen una determinada interfaz. Luego el cliente, al recibir el objeto, llamaría al método show() (para poner un ejemplo) y el objeto tendría la información necesaria para mostrarse en el sitio.
Haz la implementación que mejor se acomode a tus gustos, pero siempre ten en cuenta, como te han dicho, de nunca manejar datos críticos en cliente.
Saludos.